12 | Nederlandse Cybersecuritystrategie 2022-2028 Maatschappelijke opgave cybersecurity | 13 Cyberaanvallen door statelijke actoren zijn niet meer zeldzaam. Complicaties risicobeheersing gevaar voor samenleving Statelijke actoren kunnen hiervoor onder meer de volgende digitale middelen inzetten: beïnvloeding en inmenging (inclusief het verspreiden van desinformatie); spionage, waaronder economische of politieke spionage; voorbereidingshandelingen voor en daadwerkelijke verstoring en sabotage. Volgens de AIVD blijft de dreiging van offensieve cyberprogramma’s tegen Nederland en de Nederlandse belangen onverminderd hoog en zal deze in de toekomst alleen maar toenemen.7 Ook cybercriminelen zijn onverminderd in staat om omvangrijke schade toe te brengen aan digitale processen. Zij handelen vanuit financieel motief en hebben niet de intentie om de maatschappij te ontwrichten. Desondanks kunnen hun aanvallen zoveel impact veroorzaken dat ze nationale veiligheidsbelangen raken. De dreiging die uitgaat van hacktivisten is relatief klein, maar kan Nederlandse belangen wel indirect raken. In het CSBN2022 zijn in samenwerking met partners strategische thema’s geïdentificeerd die nu en de komende jaren relevant zijn voor de digitale veiligheid van Nederland: De afgelopen jaren is geconstateerd dat de digitale weerbaarheid van Nederland onvoldoende is.8 Ondanks de inspanningen om de weerbaarheid te verhogen, is sprake van een scheefgroei tussen de toenemende dreiging en de ontwikkeling van de weerbaarheid. Volledige weerbaarheid tegen digitale dreigingen is onmogelijk, maar verhoging van de weerbaarheid tegen uitval en misbruik is wel het belangrijkste instrument om digitale risico’s te beheersen. De digitale weerbaarheid is nog niet overal op orde doordat basismaatregelen niet voldoende doorgevoerd worden. Er zijn grote verschillen in weerbaarheid tussen en binnen sectoren en ketens. biedt. Gezien de aard en groeiende omvang van de cybercriminele dreiging is het schaalbaar maken én houden van de weerbaarheidsketen een fundamentele uitdaging voor de komende jaren. Risico’s vormen de keerzijde van een gedigitaliseerde samenleving. De Nederlandse samenleving is in hoge mate gedigitaliseerd. Dat heeft een keerzijde: de afhankelijkheid van digitale processen heeft ons ook kwetsbaar gemaakt voor uitval en voor de activiteiten van kwaadwillenden. Keteneffecten kunnen sectoren of zelfs de gehele maatschappij raken. Daarbij kan de verstoring van digitale processen fysieke consequenties hebben. Marktdynamiek compliceert beheersing digitale risico’s. Op digitale markten komen vraag en aanbod naar digitale diensten, (componenten van) hardware, software en netwerken samen. Deze markten hebben enkele unieke kenmerken. Bijvoorbeeld de (semi)monopolistische status van bepaalde leveranciers, de hoge mate van onderlinge verweving en de focus op het vergaren van zoveel mogelijk data. Ook zijn in deze markten prikkels voor digitale veiligheid niet (altijd) doorslaggevend. Die kenmerken compliceren de beheersing van risico’s voor individuele burgers, organisaties, sectoren en landen. Digitale ruimte is speelveld voor regionale en mondiale dominantie. Digitale veiligheid is nauw verbonden met geopolitiek. Staten gebruiken de digitale ruimte structureel én intensief voor de behartiging van hun geopolitieke belangen. Cyberaanvallen, bijvoorbeeld voor het vergaren van politieke en economische inlichtingen, zijn daartoe een belangrijk instrument: ze zijn relatief goedkoop en schaalbaar en ze hebben een hoge, vaak langdurige opbrengst. Ook het ultieme geopolitieke conflict, oorlog, gaat gepaard met cyberaanvallen. Daarnaast is attributie een lastige kwestie. Individuele burgers, organisaties, sectoren en landen kunnen weinig invloed uitoefenen op die geopolitieke wedijver, terwijl die wel bijdraagt aan de verhoging van risico’s. Samenhangend en geïntegreerd risicomanagement staat nog in de kinderschoenen. Een samenhangend en geïntegreerd risicomanagement binnen en tussen de niveaus van organisaties, sectoren en nationaal staat nog in de kinderschoenen. Digitale risico’s hebben nog geen structurele plaats in het bredere risicomanagement binnen en tussen de drie eerdergenoemde niveaus. Risicomanagement is nog niet vanzelfsprekend, terwijl een risicogebaseerde manier van werken instrumenteel is voor het bepalen en op het gewenste niveau brengen van de weerbaarheid. Uiteraard hebben talrijke organisaties hun risicomanagement op orde. Toch schort het binnen organisaties vaak aan inbedding in het primaire proces.9 Cybercriminaliteit is industrieel schaalbaar, weerbaarheid nog niet. Zware, georganiseerde cybercriminaliteit is zeer schaalbaar geworden en heeft daardoor in de afgelopen jaren qua slachtoffers, schade en criminele opbrengsten een industriële omvang aangenomen. Ransomware is daarbij een gamechanger gebleken. Zware cybercriminelen en hun dienstverleners zijn primair financieel gemotiveerd en gaan voor maximale opbrengsten, waarbij ze dankbaar gebruik maken van de mogelijkheden die de digitale ruimte Aanvullend is een overkoepelend thema geïdentificeerd dat de andere thema’s raakt: beperkingen in digitale autonomie beperken ook digitale weerbaarheid.10 Voor Europese landen en Nederland gelden beperkingen in digitale autonomie. Die autonomie omvat het vermogen en de middelen die Nederland heeft om zelfstandig beslissingen te kunnen nemen over (verdere) digitalisering én de gewenste mate van digitale weerbaarheid. De autonomie staat onder druk door diverse oorzaken, die samenhangen met de hierboven genoemde strategische thema’s. Die oorzaken verminderen de beïnvloedings- en keuzemogelijkheden voor en controle over de digitale weerbaarheid van Nederland. Hoewel uiteenlopend van aard, illustreren de thema’s ieder op zich en in samenhang complicaties voor strategische risicobeheersing. Noodzaak tot een integrale aanpak digitale weerbaarheid In de afgelopen jaren hebben verschillende gezaghebbende organisaties adviezen aan de overheid en het kabinet verstrekt op het gebied van cybersecurity en het verhogen van de digitale weerbaarheid. Deze zijn, in aanvulling op de hiervoor genoemde strategische thema’s, meegenomen in de totstandkoming van deze strategie. Aanvullend hieraan is een brede groep belanghebbenden middels een enquête en in werksessies11 gevraagd om (aanvullende) uitdagingen te identificeren.12 Dit heeft geleid tot de volgende belangrijke additionele inzichten die meegenomen zijn in deze strategie: • Er is sprake van een groeiende cyberweerbaarheidskloof tussen organisaties. Er zijn organisaties die hun cybersecurity goed op orde hebben, maar er zijn ook organisaties die hun cybersecurity nog niet voldoende op orde hebben; • naar verwachting blijft de vraag naar cybersecurity-expertise toenemen waarbij het aanbod van gekwalificeerd personeel achterblijft; • er is geconstateerd dat verantwoordelijkheden in het Nederlandse cybersecuritystelsel op dit moment niet eenduidig zijn belegd of duidelijk zijn gedefinieerd, wat effectieve samenwerking belemmert; • de afgelopen jaren is ervaren gebleken dat informatie-uitwisseling gefragmenteerd is, waardoor dreigingsinformatie niet altijd alle organisaties tijdig heeft bereikt en in staat heeft gesteld om maatregelen te treffen; • organisaties hebben beperkt zicht op de risico's van en schade door uitval van digitale systemen en data over de omvang van schade door storingen of